Email in spam? SPF, DKIM e DMARC spiegati semplice

Mandi un preventivo, il cliente non risponde. Dopo una settimana scopri che la tua email era finita nello spam. Succede più spesso di quanto pensi, e quasi sempre la causa non è il testo del messaggio ma tre impostazioni tecniche del dominio: SPF, DKIM e DMARC.

In questa guida ti spiego cosa sono con parole semplici, come capire in due minuti se il tuo dominio li ha e come configurarli senza rompere nulla.

Perché le email finiscono in spam

Gmail, Outlook e gli altri servizi di posta ricevono ogni giorno miliardi di messaggi falsi: truffe, finte fatture, phishing che usano il nome di aziende vere. Per difendersi, controllano ogni email in arrivo e si chiedono una cosa: questo messaggio arriva davvero da chi dice di essere?

Se il dominio del mittente non fornisce le "prove" per rispondere a questa domanda, l'email viene trattata con sospetto. Nel migliore dei casi finisce in spam, nel peggiore viene rifiutata.

Da febbraio 2024 Google e Yahoo hanno reso queste regole molto più severe: chi invia molte email (oltre 5.000 al giorno verso Gmail) deve avere SPF, DKIM e DMARC configurati, ma anche per tutti gli altri l'autenticazione del dominio è diventata la base per non finire in spam (fonte).

SPF, DKIM e DMARC in parole semplici

Immagina di spedire una lettera raccomandata. Per fidarsi, chi la riceve vuole sapere tre cose: da quale ufficio postale è partita, se la busta è stata aperta durante il viaggio, e cosa fare se qualcosa non torna. I tre record fanno esattamente questo.

SPF: chi può spedire a nome tuo

L'SPF è un elenco, pubblicato nel DNS del dominio, dei server autorizzati a inviare email con il tuo indirizzo. Se usi Google Workspace, ad esempio, l'SPF dice al mondo: "le email di @tuaazienda.it partono solo dai server di Google".

Un record SPF tipico ha questa forma:

v=spf1 include:_spf.google.com ~all

DKIM: la firma che garantisce che il messaggio non è stato alterato

Il DKIM aggiunge a ogni email una firma digitale invisibile. Chi riceve il messaggio la verifica con una chiave pubblicata nel tuo DNS: se la firma corrisponde, il messaggio è autentico e non è stato modificato durante il viaggio.

DMARC: cosa fare con le email false

Il DMARC è la regola finale. Dice ai server di posta cosa fare quando un'email usa il tuo dominio ma non supera i controlli SPF e DKIM: lasciarla passare (p=none), metterla in quarantena nello spam (p=quarantine) o rifiutarla (p=reject). In più ti fa ricevere dei report su chi sta usando il tuo dominio.

Come controllare il tuo dominio in 2 minuti

Hai due strade semplici:

1. Fai il check gratuito del tuo sito: tra i controlli c'è anche la verifica di SPF e DMARC del dominio, con la spiegazione di cosa manca.
2. Usa uno strumento gratuito come MXToolbox: scrivi il tuo dominio e scegli "SPF Record Lookup" e poi "DMARC Lookup".

Un altro test utile è mail-tester.com: ti dà un indirizzo a cui mandare un'email di prova e ti restituisce un voto da 1 a 10 con i problemi trovati.

Come configurare SPF, DKIM e DMARC

Le modifiche si fanno nel pannello DNS del tuo dominio, di solito dal fornitore presso cui l'hai registrato (Aruba, Register.it, IONOS, Cloudflare…). Prima di toccare qualcosa, fai uno screenshot dei record attuali: se sbagli, puoi tornare indietro.

1. Configura l'SPF

1. Chiedi al fornitore della posta il valore SPF corretto: lo trovi nella sua guida o nel pannello (per Google Workspace è include:_spf.google.com, per Microsoft 365 include:spf.protection.outlook.com).
2. Se invii email anche da altri servizi (gestionale, newsletter, sito WordPress), aggiungi anche i loro include.
3. Crea un solo record TXT sul dominio principale. Due record SPF separati sono un errore e annullano la protezione.
4. Termina il record con ~all (consigliato all'inizio) o -all. Mai con +all, che autorizza chiunque.

2. Attiva il DKIM

1. Nel pannello del fornitore di posta cerca la voce "DKIM" o "Autenticazione email" e genera la chiave.
2. Il fornitore ti mostra un record da copiare nel DNS (di solito un TXT o un CNAME con un nome come google._domainkey).
3. Dopo averlo inserito, torna nel pannello della posta e attiva la firma.

3. Pubblica il DMARC

1. Crea un record TXT con nome _dmarc e valore: v=DMARC1; p=none; rua=mailto:dmarc@tuaazienda.it
2. Per qualche settimana leggi i report che arrivano a quell'indirizzo (esistono servizi gratuiti che li rendono leggibili).
3. Quando sei sicuro che tutte le tue email legittime superano i controlli, passa a p=quarantine e poi a p=reject.

Le modifiche DNS possono richiedere da pochi minuti a qualche ora per diventare attive.

Gli errori più comuni

• Due record SPF: capita quando si cambia fornitore di posta e si aggiunge un nuovo SPF senza cancellare il vecchio.
• Dimenticare i servizi esterni: il sito WordPress che invia le notifiche dei moduli di contatto, la piattaforma di newsletter o il gestionale delle fatture devono essere inclusi nell'SPF o avere il loro DKIM.
• Passare subito a p=reject: se qualche servizio legittimo non è configurato, le sue email vengono rifiutate. Meglio partire da p=none.
• Sito WordPress che spedisce "da solo": WordPress di default invia le email dal server del sito, spesso senza autenticazione. Con un plugin SMTP collegato alla tua casella le notifiche diventano affidabili.

Domande frequenti

Se configuro SPF, DKIM e DMARC le mie email non finiranno mai in spam?

No, ma elimini la causa più frequente. Contano anche il contenuto, la reputazione del dominio e il fatto che i destinatari aprano e non segnalino i tuoi messaggi.

Ho una piccola attività e mando poche email: mi serve davvero?

Sì. Le regole più rigide riguardano chi invia grandi volumi, ma un dominio senza SPF e DMARC è più esposto allo spam e può essere usato da truffatori per mandare email false a nome tuo ai tuoi clienti.

Posso fare da solo o serve un tecnico?

Se hai accesso al pannello DNS e segui le istruzioni del tuo fornitore di posta, SPF e DMARC si configurano in mezz'ora. Se il dominio usa più servizi di invio o non sai dove mettere le mani, conviene farsi aiutare per non bloccare le email legittime.

Quanto tempo ci vuole perché le modifiche funzionino?

Di solito da pochi minuti a qualche ora. In rari casi fino a 24-48 ore, a seconda della configurazione del DNS.

Vuoi sapere se il tuo dominio è protetto?

Con il check gratuito di Nexta Studio verifichi in pochi secondi SPF e DMARC del tuo dominio, insieme a sicurezza, velocità e obblighi di legge del sito. Se preferisci che ci pensiamo noi, chiamaci al 351 358 7973: configuriamo la posta del tuo dominio senza interrompere l'invio delle email.